[논문 리뷰] SecLaaS: Secure Logging-as-a-Service for Cloud Forensics

Shams Zawoad, Amit Kumar Dutta외 1명|arXiv (Cornell University)|2013. 02. 25.

Digital and Cyber Forensics참고 문헌 15인용 수 26

한 줄 요약

SecLaaS는 클라우드 포렌식을 위한 기밀성과 개인정보 보호를 보장하는 Logging-as-a-Service 아키텍처를 제안하며, 클라우드 제공자에 대한 신뢰를 두지 않고도 포렌식 조사자가 암호학적 증명(과거 로그 증명 및 로그 체인)을 통해 로그의 무결성과 기밀성을 검증할 수 있도록 한다. 이 기법은 OpenStack에 구현되어 네트워크 액세스 로그를 보호하는 데 있어 실용적인 타당성을 입증한다. SOX 및 HIPAA와 같은 규정 준수 요구사항을 충족시킨다.

ABSTRACT

Cloud computing has emerged as a popular computing paradigm in recent years. However, today's cloud computing architectures often lack support for computer forensic investigations. Analyzing various logs (e.g., process logs, network logs) plays a vital role in computer forensics. Unfortunately, collecting logs from a cloud is very hard given the black-box nature of clouds and the multi-tenant cloud models, where many users share the same processing and network resources. Researchers have proposed using log API or cloud management console to mitigate the challenges of collecting logs from cloud infrastructure. However, there has been no concrete work, which shows how to provide cloud logs to investigator while preserving users' privacy and integrity of the logs. In this paper, we introduce Secure-Logging-as-a-Service (SecLaaS), which stores virtual machines' logs and provides access to forensic investigators ensuring the confidentiality of the cloud users. Additionally, SeclaaS preserves proofs of past log and thus protects the integrity of the logs from dishonest investigators or cloud providers. Finally, we evaluate the feasibility of the scheme by implementing SecLaaS for network access logs in OpenStack - a popular open source cloud platform.

연구 동기 및 목표

• 클라우드 인프라에 대한 통제력과 신뢰도가 부족한 상황에서 디지털 포렌식을 위한 클라우드 로그 확보 및 검증이라는 핵심 과제를 해결하기 위해.
• 클라우드 서비스 제공자로부터 로그에 접근하고 검증할 수 있도록 하되, 동시에 사용자 개인정보를 보호하기 위해.
• 악의적인 클라우드 제공자 또는 조사자가 로그를 조작하는 것을 방지하기 위해 암호학적 증명을 통해 로그의 무결성을 보장하기 위해.
• 기존 클라우드 플랫폼(예: OpenStack)과 통합 가능한 실용적이고 구현 가능한 솔루션을 제공하기 위해.
• 검증 가능한 로깅을 통해 클라우드 감사성과 SOX 및 HIPAA와 같은 규정 준수 기준을 향상시키기 위해.

제안 방법

• 클라우드 사용자가 기밀성을 확보하기 위해 암호화하고 서명한 로그를 업로드할 수 있는 중앙 집중식 로그 서버를 도입한다.
• 모든 로그를 시간 순서로 묶는 압축되고 검증 가능한 로그 체인(Log Chain, LC)을 생성하기 위해 암호학적 누적기법을 사용한다.
• 각 로그 항목에 대해 과거 로그 증명(Proof of Past Log, PPL)을 생성하여 감사자가 특정 시점에 로그가 존재하고 무결성을 유지하고 있음을 암호학적으로 검증할 수 있도록 한다.
• 공개 키 암호 기법과 디지털 서명을 사용하여 로그를 발신자와 연결하고 비인정 방지를 보장한다.
• OpenStack의 네트워킹 컴포넌트를 활용하여 실제 구현을 수행하며, 특히 네트워크 포렌식을 위해 Snort 로그와 통합한다.
• 효율적인 누적기법을 적용하여 로그 수에 관계없이 일정한 검증 시간을 유지함으로써 확장성을 확보한다.

실험 결과

연구 질문

• RQ1 클라우드 로그는 어떻게 안전하게 저장되고 포렌식 조사자가 접근할 수 있도록 하면서도 사용자 개인정보를 보호할 수 있는가?
• RQ2 악의적인 클라우드 제공자가 로그를 저장할 수 있는 상황에서, 로그의 무결성이 장기간에 걸쳐 암호학적으로 검증될 수 있는가?
• RQ3 실제 클라우드 플랫폼인 OpenStack과 같은 환경에서 안전한 로깅-as-서비스 모델을 실현 가능한가?
• RQ4 시스템은 어떻게 로그의 위조나 변조를 방지하고, 그 진위성이 공개적으로 검증 가능하게 보장하는가?
• RQ5 클라우드 환경에서 대규모 로그 스트림에 대해 암호학적 증명을 유지하는 데 있어 성능 오버헤드는 어느 정도인가?

주요 결과

• SecLaaS는 암호학적 증명을 통해 클라우드 로그의 기밀성과 무결성을 보장하는 안전한 로깅 인fra를 성공적으로 구현하였다.
• OpenStack과의 통합을 통해 실제 구현 가능성을 입증하였으며, Snort에서 생성된 네트워크 액세스 로그를 처리함으로써 실생활 적용 가능성과 타당성을 입증하였다.
• 효율적인 누적기반 기법 덕분에 로그 수에 관계없이 로그 증명 검증 시간이 거의 일정하게 유지된다.
• 감사자가 클라우드 제공자나 조사자에 대한 신뢰 없이도 로그의 무결성을 공개적으로 검증할 수 있도록 한다.
• 검증 가능한 로깅을 통해 SOX 및 HIPAA와 같은 규정 준수 기준을 충족시키는 감사 가능하고 변조 흔적을 드러내는 로그를 제공함으로써 규정 준수 능력을 향상시켰다.
• 디지털 서명과 암호학적 누적기법을 통해 로그 위조 위험을 완화하고 비인정을 보장하는 솔루션을 제공한다.